物理的セキュリティ

Equinix Meet-Me Roomの場所とCisco専用インスタンスデータセンターの施設に物理的なセキュリティを提供することが重要です。 物理的なセキュリティが侵害されると、顧客のスイッチの電源を切ることによるサービスの中断などの単純な攻撃が開始される可能性があります。 物理的にアクセスできれば、攻撃者はサーバーデバイスにアクセスしたり、パスワードをリセットしたり、スイッチにアクセスしたりする可能性があります。 物理アクセスは、中間者攻撃などのより高度な攻撃も助長します。そのため、2番目のセキュリティ層であるネットワークセキュリティが重要です。

自己暗号化ドライブは、UCアプリケーションをホストする専用インスタンスデータセンターで使用されます。

一般的なセキュリティ慣行の詳細については、 次の場所にあるドキュメントを参照してください。https://www.cisco.com/c/en/us/solutions/enterprise/design-zone-security/index.html

ネットワークセキュリティー

パートナーは、すべてのネットワーク要素が専用インスタンスインフラストラクチャ（Equinix経由で接続）で保護されていることを確認する必要があります。 次のようなセキュリティのベストプラクティスを確保するのはパートナーの責任です。

• 音声とデータ用に個別のVLAN

• CAMテーブルのフラッディングを防ぐために、ポートごとに許可されるMACアドレスの数を制限するポートセキュリティを有効にしてください

• なりすましIPアドレスに対するIPソースガード

• ダイナミックARPインスペクション（DAI）は、アドレス解決プロトコル（ARP）と無償ARP（GARP）の違反を検査します（ARPスプーフィングに対して）

• 802.1xは、割り当てられたVLAN上のデバイスを認証するためにネットワークアクセスを制限します（電話は802.1xをサポートしています）

• 音声パケットを適切にマーキングするためのサービス品質（QoS）の設定

• 他のトラフィックをブロックするためのファイアウォールポート構成

エンドポイントのセキュリティ

シスコのエンドポイントは、エンドポイントにある程度のセキュリティを提供する、署名付きファームウェア、セキュアブート（一部のモデル）、製造元がインストールした証明書（MIC）、署名付き設定ファイルなどのデフォルトのセキュリティ機能をサポートしています。

さらに、パートナーや顧客は、次のような追加のセキュリティを有効にすることができます。

• 次のようなサービスのIP電話サービスを（HTTPS経由で）暗号化します Extension Mobility

• 認証局プロキシ機能（CAPF）または公的認証局（CA）から、ローカルで有効な証明書（LSC）を発行してください

• 設定ファイルを暗号化する

• メディアとシグナリングを暗号化してください

• 使用しない場合はこれらの設定を無効にしてください：PCポート、PC音声、VLANアクセス、Gratuitous ARP、Webアクセス、設定ボタン、SSH、コンソール

専用インスタンスにセキュリティメカニズムを実装することで、Unified CM電話やサーバーの個人情報の盗難、データの改ざん、コールシグナリング/メディアストリームの改ざんを防ぐことができます。

ネットワーク上の専用インスタンス:

• 認証された通信ストリームを確立して維持します

• ファイルを電話に転送する前に、ファイルにデジタル署名します

• Cisco Unified IP電話間のメディアストリームとコールシグナリングを暗号化します

セキュリティはデフォルトで、Cisco Unified IP電話に次の自動セキュリティ機能を提供します。

• 電話設定ファイルの署名

• 電話設定ファイルの暗号化のサポート

• トムキャットやその他のウェブサービス（MIDlet）での HTTPS

Unified CMリリース8.0以降では、これらのセキュリティ機能は証明書信頼リスト（CTL）クライアントを実行せずにデフォルトで提供されます。

ネットワークには多数の電話があり、IP電話はメモリが限られているため、信頼検証サービス（TVS）Cisco Unified CMを通じてリモートトラストストアとして機能し、証明書トラストストアを各電話機に配置する必要はありません。 Cisco IP電話は、CTLまたはITLファイルでは署名や証明書を確認できないため、TVSサーバーに連絡して検証を行います。 中央のトラストストアを持つ方が、各 Cisco Unified IP Phone にトラストストアを置くよりも管理が簡単です。

TVSを使用すると、CiscoユニファイドIP電話は、HTTPSの確立中に、EMサービス、ディレクトリ、MIDletなどのアプリケーションサーバーを認証できます。

初期信頼リスト（ITL）ファイルは、 エンドポイントが信頼できるように、初期セキュリティに使用されます。Cisco Unified CM ITLでは、 セキュリティ機能を明示的に有効にする必要はありません。 ITLファイルは、 クラスターのインストール時に自動的に作成されます。 Unified CM トリビアル・ファイル転送プロトコル（TFTP）サーバーの秘密鍵は、ITLファイルの署名に使用されます。

Cisco Unified CMクラスタまたはサーバーが非セキュアモードの場合、 ITLファイルはサポートされているすべてのCisco IP電話にダウンロードされます。 パートナーは、CLI コマンド admin: show itl を使用して ITL ファイルの内容を表示できます 。

Cisco IP電話では、次のタスクを実行するためにITLファイルが必要です。

• 設定ファイルの暗号化をサポートするための前提条件は、CAPFと安全に通信します

• 設定ファイルの署名を認証してください

• TVSを使用してHTTPSを確立するときに、EMサービス、ディレクトリ、 MIDletなどのアプリケーションサーバーを認証します

デバイス、ファイル、およびシグナリング認証は、証明書信頼リスト（CTL）ファイルの作成に依存します。CTL（証明書信頼リスト）ファイルは、パートナーまたはお客様がシスコ証明書信頼リストクライアントをインストールして設定するときに作成されます。

CTLファイルには、次のサーバーまたはセキュリティトークンのエントリが含まれています。

• システム管理者セキュリティトークン（SAST）

• Cisco CallManagerと、同じサーバー上で稼働しているCisco TFTPサービス

• Certificate Authorityプロキシ機能（CAPF）

• TFTPサーバー

• ASA ファイアウォール

CTLファイルには、各サーバーのサーバー証明書、公開鍵、シリアル番号、署名、発行者名、サブジェクト名、サーバー機能、DNS名、およびIPアドレスが含まれています。

CTLによる電話セキュリティは、次の機能を提供します。

• TFTPでダウンロードしたファイル（設定、ロケール、リングリストなど）の署名キーを使った認証

• 署名鍵を使ったTFTP設定ファイルの暗号化

• IP電話用の暗号化されたコールシグナリング

• IP電話用の暗号化された通話音声（メディア）

専用インスタンスは、エンドポイントの登録と通話処理を提供します。 Cisco Unified CMとエンドポイント間のシグナリングは、Secure Skinny Client Control Protocol（SCCP）またはセッション開始プロトコル（SIP）に基づいており、トランスポート層セキュリティ（TLS）を使用して暗号化できます。 エンドポイントとの間で送受信されるメディアはリアルタイム転送プロトコル（RTP）に基づいており、Secure RTP（SRTP）を使用して暗号化することもできます。

Unified CMミックスモードをオンにすると、シスコエンドポイントとの間のシグナリングとメディアトラフィックを暗号化できます。

安全なUCアプリケーション

混合モードは、専用インスタンスではデフォルトで有効になっています。

Dedicated Instanceで混合モードを有効にすると、 Ciscoエンドポイントとの間で送受信されるシグナリングとメディアトラフィックの暗号化が可能になります。

Cisco Unified CMリリース 12.5 (1) から、混合モード/CTL ではなく SIP OAuth に基づいてシグナリングとメディアの暗号化を有効にする新しいオプションが、Jabber と Webex クライアントに追加されました。 そのため、Unified CMリリース12.5 (1) では、SIP OAuthとSRTPを使用して、 JabberまたはWebexクライアントのシグナリングとメディアの暗号化を有効にできます。 現時点では、Cisco IP電話やその他のCiscoエンドポイントでは、 引き続き混合モードを有効にする必要があります。 将来のリリースでは、7800/8800エンドポイントでのSIP OAuthのサポートを追加する予定です。

と CUBE Cisco Unified CM 間の通信を保護します

Cisco Unified CMとCUBE間の安全な通信のために、パートナー/顧客は自己署名証明書またはCA署名証明書を使用する必要があります。

自己署名証明書の場合：

1. Cisco Unified CMキューブを作成して自己署名証明書を生成します

2. CUBEは証明書をにエクスポートします Cisco Unified CM

3. Cisco Unified CM証明書をCUBEにエクスポートします

CA署名証明書の場合：

1. クライアントはキーペアを生成し、証明書署名要求（CSR）を（CA）に送信します Certificate Authority

2. CAは秘密鍵で署名し、身分証明書を作成します

3. クライアントは、信頼できるCAルート証明書と中間証明書のリストとID証明書をインストールします

プロトコルの概要

次の表は、Unified CMソリューションで使用されるプロトコルと関連サービスを示しています。

MRA設定の詳細については、Remote AccessCisco Expressway モバイルおよびスルー導入ガイドの「MRA導入シナリオ 」セクションを参照してください。

SIP OAuth によるジャバーとウェベックスのセキュリティ保護

JabberとWebexのクライアントは、 ローカルで有効な証明書（LSC）の代わりにOAuthトークンを介して認証されます。これには、 認証局プロキシ機能（CAPF）の有効化（MRAの場合も）は必要ありません。 混合モードの有無にかかわらず動作するSIP OAuthは、Cisco Unified CM 12.5 (1) 以降、Jabber 12.5 以降、およびエクスプレスウェイ X12.5 で導入されました。

Cisco Unified CM12.5以降では、SIP REGISTERの単一のトランスポート層セキュリティ （TLS）+OAuthトークンを使用して、 LSC/CAPFなしで暗号化を可能にする電話セキュリティプロファイルに新しいオプションが追加されました。 Expressway-Cノードは、管理XML Webサービス（AXL）APIを使用して、Cisco Unified CM証明書内のSN/SANを通知します。 Cisco Unified CM相互TLS接続を確立するときに、 この情報を使用してExp-C証明書を検証します。

SIP OAuthは、エンドポイント証明書（LSC）がなくてもメディアとシグナリングの暗号化を可能にします。

Cisco Jabberエフェメラルポートと、TFTPサーバーへのHTTPS接続によるセキュアポート6971と6972ポートを使用して、設定ファイルをダウンロードします。 ポート6970は、HTTP経由でダウンロードするための非セキュアポートです。

SIP OAuthの設定についての詳細：SIP OAuthモード。